Resumo

  • draft-ietf-opsawg-yang-provenance-07 permite verificar a assinatura primária, um subconjunto das contrassinaturas ou todas elas conforme a política local; portanto, um estado genérico de sucesso não expressa o nível de garantia.
  • O recibo operacional precisa registrar escopo, canonicalização, chave, conjunto exigido, elos ausentes, atualidade, análise, autorização, execução e efeito observado sem fundi-los num único selo.

Cinco entidades apareciam no fluxo de dados: equipamento, broker, normalizador, motor analítico e controlador. O painel mostrava “proveniência verificada”. Em letras pequenas, o verificador havia checado apenas a assinatura primária do equipamento e a contrassinatura do broker.

As outras três entidades não tinham sido validadas. Uma delas nem sequer havia assinado.

A revisão 07 de Applying COSE Signatures for YANG Data Provenance foi publicada em 6 de julho de 2026 e expira em 7 de janeiro de 2027. É um Internet-Draft ativo do OPSAWG, com intenção Standards Track no cabeçalho. Não é RFC, alocação IANA concluída, relatório de interoperabilidade, implantação ou certificação. O Datatracker registrou quatro erros YANG e nenhum aviso em 25 de agosto de 2026. A implementação Java e as demonstrações mencionadas no texto são evidência limitada de protótipo.

O mecanismo assina um conteúdo delimitado

A proposta usa COSE_Sign1 com payload nulo. O conteúdo YANG selecionado é fornecido como dado externo depois da canonicalização. CBOR usa codificação determinística length-first; JSON usa JCS; XML usa canonicalização exclusiva.

Algoritmo, kid e método de serialização entram no material protegido. O resultado válido comprova que aqueles bytes canonicalizados foram assinados pela chave correspondente ao mapeamento do verificador e não mudaram desde então.

Não comprova campos fora do escopo, equivalência de uma conversão, correção do sensor ou atualidade. O registro precisa manter o elemento exato, versão do schema, serialização, método de canonicalização, hash, algoritmo, kid, chave resolvida e política.

“Verificado” depende de uma escolha

O texto permite validar a assinatura primária, algumas contrassinaturas ou todas. Isso é razoável: aplicações diferentes têm requisitos diferentes. O problema surge quando a escolha desaparece na interface.

O status deve responder: quais signatários eram obrigatórios; quais foram conferidos; quais falharam; quais foram dispensados; que versão de política decidiu isso. Sem essas respostas, dois produtos podem exibir o mesmo selo para cadeias incompatíveis.

Também é preciso distinguir ausência de falha de presença de prova. Se um agregador não assinou, não existe uma assinatura inválida para gerar alerta. Só a comparação com o grafo de fluxo esperado revela o elo ausente.

Contrassinar não assina uma saída nova

Contrassinaturas completas de RFC 9338 podem ser adicionadas ao objeto COSE existente. Elas não alteram a entrada nem o valor da assinatura primária; vinculam outros signatários ao mesmo conteúdo.

Se o normalizador converte unidades ou elimina amostras, sua saída é uma nova afirmação. Contrassinar o objeto antigo não cobre a tabela nova. A transformação precisa de recibo com hashes de entrada e saída, versão do código, parâmetros e ordem, seguido de assinatura própria.

Essa fronteira impede que uma cadeia visualmente longa seja confundida com uma história completa. Vários signatários podem estar ligados ao mesmo original enquanto o passo decisivo permanece sem prova.

O kid não governa a si mesmo

Associar kid à chave pública correta é uma decisão local fora do documento. Certificados, PKI ou distribuição segura podem sustentar essa associação, mas a organização precisa registrar versão, domínio e revogação.

Uma chave comprometida gera assinaturas válidas. Um titular legítimo pode assinar dados falsos ou errados. O mecanismo autentica a origem criptográfica e detecta alteração posterior; não certifica a honestidade da origem.

Isso exige separar assinatura válida de fonte confiável agora. Rotação, revogação, finalidade da chave e limite administrativo devem aparecer antes de qualquer ação automática.

Dados antigos mantêm a assinatura

A proposta não garante frescor. Objetos válidos podem ser reproduzidos se timestamp, nonce, ID de solicitação ou outro contexto não estiver vinculado. Configuração aprovada numa janela passada pode reaparecer depois de uma mudança de política.

O monitor precisa de idade máxima, época de autorização, relógio confiável e proteção contra consumo repetido. Integridade preserva o arquivo; não renova a permissão.

Estrutura, qualidade e análise são recibos diferentes

Validar schema pode complementar a assinatura. Ainda assim, dados estruturalmente corretos podem medir a coisa errada. Uma inferência de IA pode usar dados autênticos e chegar a uma conclusão fraca.

Toda etapa analítica deve conservar modelo, versão, features, conjunto de entrada, saída, incerteza e aprovação. A assinatura do dado de origem não envolve automaticamente a decisão produzida pelo modelo.

As quatro formas de inclusão propostas—leaf, notificação YANG-Push, metadata de instance data e annotation—ajudam a prova a viajar. Nenhuma delas concede autoridade ao consumidor.

Autoridade e execução ficam depois do selo

Uma chave de telemetria pode provar a origem de uma observação sem autorizar mudança. O principal que assume custo e responsabilidade operacional deve aprovar a ação por política atual e limitada.

Essa separação é central às notas de Heng Lu: uma evidência técnica pode disciplinar o processo, mas não fabrica mandato. A automação não deve transformar a conveniência de um selo criptográfico em poder institucional.

Mesmo depois da autorização, o controlador pode aceitar sem executar, o equipamento pode aplicar parcialmente e o serviço pode piorar. Readback de configuração e observação independente do dataplane fecham outras etapas.

O selo honesto deveria ser mais longo: assinatura primária válida; dois de quatro countersigners verificados sob política P17; um elo obrigatório ausente; objeto dentro da janela; nenhuma autoridade de mudança inferida. A precisão reduz a beleza do dashboard e aumenta seu valor.

Fontes